Die E-Evidence-Verordnung kommt: Was Diensteanbieter jetzt wissen müssen - Teil 1

Teil 1: Was regelt die E-Evidence-Verordnung – und wen betrifft sie?

Ab dem 18. August 2026 wird die Verordnung (EU) 2023/1543 über europäische Herausgabe- und Sicherungsanordnungen für elektronische Beweismittel in Strafsachen – kurz E-Evidence-Verordnung oder EEVO – nach einer dreijährigen Übergangsfrist unmittelbar in allen Mitgliedstaaten und damit auch in Deutschland anwendbar. Das Datum ist kein fernes Zukunftsszenario mehr: In Deutschland ist das dazugehörige Ausführungsgesetz, das Elektronische-Beweismittel-Umsetzungs- und Durchführungsgesetz (EBewMG), im März 2026 verkündet worden, das Bundesamt für Justiz steht als zentrale Behörde fest, die Bundesnetzagentur übernimmt die technische Regulierung.

Bevor wir uns der EEVO selbst zuwenden, soll ein Blick auf das, was bisher gilt, bei der Einordnung helfen. Mit der EEVO reagiert der Gesetzgeber auf einen Zustand, der sich über Jahre als zunehmend „sehr schwierig“ erwiesen hat. Grenzüberschreitender Zugriff auf elektronische Beweismittel war bislang über das klassische Rechtshilfeverfahren geregelt: eine ausländische Behörde musste ein Ersuchen an die zuständige deutsche Stelle richten, die es sodann prüfte und gegebenenfalls selbst eine Anordnung erließ – erst dann war ein Diensteanbieter überhaupt zur Herausgabe verpflichtet. Dieser Weg konnte je nach Fall Wochen bis Monate dauern, während die Anfrage für den Diensteanbieter selbst bis dahin folgenlos blieb. Eine direkt beim Diensteanbieter eingehende ausländische Anfrage begründete für sich genommen weder eine Prüf- noch eine Reaktionspflicht – sie konnte, bzw. musste meist unbeantwortet bleiben, solange keine deutsche Anordnung vorlag. 

In dieser zweiteiligen Veröffentlichung stellen wir nun die EEVO vor – die genau an diesem Punkt ansetzt. Im ersten Teil geht es um die Grundstruktur, die neuen Instrumente EPOC und EPOC-PR, den Kreis der betroffenen Diensteanbieter und den Anwendungsbereich. Im zweiten Teil sollen dann die geltenden Fristen dargestellt werden, welche Prüfpflichten bestehen, und mit welchen Sanktionen bei einer Nichtbefolgung zu rechnen ist. 

Zusätzlich zu den beiden Beiträgen haben wir einen One-Pager entworfen, der Ihnen einen schnellen Überblick über die maßgeblichen Fristen und Prüfschritte gibt. 
>> Zum One-Pager <<

Zwei neue Instrumente: EPOC und EPOC-PR

Kernstück der EEVO sind zwei neue Anordnungsarten, mit denen Strafverfolgungsbehörden eines Mitgliedstaats Diensteanbieter in einem anderen Mitgliedstaat künftig direkt adressieren können – ohne den bisher üblichen Umweg über ein Rechtshilfeverfahren. Die Europäische Herausgabeanordnung (European Production Order, EPOC) verpflichtet einen Diensteanbieter zur Herausgabe bestimmter elektronischer Beweismittel, etwa Inhalts-, Verkehrs- oder Bestandsdaten. Die Europäische Sicherungsanordnung (European Preservation Order, EPOC-PR) setzt einen Schritt davor an: Sie verpflichtet den Diensteanbieter lediglich, Daten für einen bestimmten Zeitraum zu sichern, damit sie nicht gelöscht werden, bevor gegebenenfalls eine Herausgabeanordnung nachfolgt.

Für betroffene Unternehmen bedeutet das vor allem eines: Beide Anordnungen entfalten unmittelbare Wirkung. Anders als bisher braucht es dafür keine gesonderte Mitwirkung einer deutschen Behörde mehr – die Anordnung eines anderen Mitgliedstaats verpflichtet direkt, sobald sie bei der zuständigen Stelle im Unternehmen eingeht. Aus der zuvor beschriebenen passiven Rolle wird damit eine aktive Handlungspflicht. Soweit ein Dienstanbieter eine ausländische Anfrage bislang folgenlos unbeantwortet lassen durfte, ist er nun ab Zugang einer EPOC oder EPOC-PR unmittelbar selbst in der Pflicht.

Wer ist von der EEVO betroffen?

Adressiert werden Diensteanbieter mit Bezug zur EU nach Art. 2 Abs. 1 EEVO, und zwar unabhängig davon, ob sie ihren Sitz überhaupt in der EU haben. Das ist ein wichtiger Unterschied zu manch anderer europäischer Regelung: Ein Cloud-Anbieter ohne jede europäische Niederlassung kann ebenso betroffen sein wie ein deutsches Unternehmen. Erfasst sind nach Art. 3 Nr. 3 EEVO insbesondere Anbieter elektronischer Kommunikationsdienste (etwa Messaging-Dienste oder VoIP), Domain-Name-Registrierungsstellen und -Registrare sowie sonstige Dienste der Informationsgesellschaft – worunter die Verordnung ausdrücklich Plattformbetreiber wie soziale Netzwerke und Filehosting-Dienste sowie Hosting-Provider und Cloud-Dienste fasst.

Adressat einer Anordnung ist dabei grundsätzlich der Verantwortliche im Sinne von Art. 4 Nr. 7 DSGVO, also wer über Zwecke und Mittel der Datenverarbeitung entscheidet. Nur ausnahmsweise darf sich eine EPOC direkt an einen Auftragsverarbeiter richten: wenn der Verantwortliche trotz angemessener Bemühungen der Anordnungsbehörde nicht ermittelt werden kann, oder wenn die Ermittlungen andernfalls gefährdet wären (Art. 5 Abs. 6 EEVO).

Wann liegt ein „Bezug zur EU“ vor?

Die Verordnung verlangt zunächst, dass die Dienste für Personen in einem Mitgliedstaat zugänglich sind – erkennbar etwa an Sprache, Währung oder gezieltem Marketing. Das allein reicht aber noch nicht. Hinzukommen muss eine wesentliche Verbindung zu einem oder mehreren Mitgliedstaaten, etwa eine Niederlassung mit echter wirtschaftlicher Tätigkeit, eine erhebliche Nutzerzahl oder eine erkennbare Ausrichtung der Tätigkeit auf den jeweiligen Mitgliedstaat. Die bloße technische Erreichbarkeit einer Website reicht dafür nach Erwägungsgrund 29 EEVO ausdrücklich nicht aus – wer zufällig auch aus Deutschland aufrufbar ist, fällt damit noch nicht automatisch in den Anwendungsbereich der Verordnung.

Wer empfängt die Anordnungen?

Ist die Frage der Betroffenheit geklärt, bleibt die praktische Frage, wo eine Anordnung überhaupt ankommt. Jeder Diensteanbieter muss nach Art. 3 Abs. 1 der Richtlinie (EU) 2023/1544 eine benannte Niederlassung oder einen Vertreter für den Empfang von EPOC und EPOC-PR bestellen – spätestens bis zum 18. August 2026 oder innerhalb von sechs Monaten nach Aufnahme des Diensteangebots in der EU. Anordnungen werden grundsätzlich ausschließlich an diese benannte Stelle gerichtet (Art. 7 Abs. 1 EEVO). Reagiert sie in einem Notfall nicht rechtzeitig, oder wurde noch gar keine Stelle bestellt, darf die Behörde ausnahmsweise eine andere Niederlassung des Unternehmens adressieren (Art. 7 Abs. 2 EEVO).

In der Praxis empfiehlt es sich daher, dass die intern für EPOC/EPOC-PR zuständige Stelle mit der nach außen benannten Stelle übereinstimmt und tatsächlich erreichbar ist. Andernfalls droht, dass ausgerechnet eine Notfall-Anordnung mit besonders kurzer Frist bei einer Konzerneinheit landet, die nicht vorbereitet ist und dann gegebenenfalls eine rechtzeitige Reaktion unmöglich macht.

Damit steht der rechtliche Rahmen. Wie sich das im Alltag konkret anfühlt – welche Fristen im Einzelnen laufen, wann eine Anordnung abgelehnt werden darf und was bei Nichtbefolgung droht – ist Thema des zweiten und letzten Teils dieser Serie.

Sie möchten prüfen, ob und in welchem Umfang Ihr Unternehmen von der EEVO betroffen ist, oder benötigen Unterstützung bei der Benennung einer empfangsbereiten Stelle? Wir unterstützen Sie bei der rechtlichen Einordnung und der Vorbereitung auf den 18. August 2026.